PT-2021-17900 · Rubygems · Devise Masquerade
Laban Skã¶Llermark
+1
·
Publicado
2021-12-07
·
Atualizado
2021-12-13
·
CVE-2021-28680
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões da gem devise masquerade anteriores à 1.3
Descrição:
A gem devise masquerade perde uma camada de proteção de segurança em comparação com o uso do Devise sem essa extensão, permitindo certos ataques quando o salt da senha é desconhecido. Se o valor
secret key base do lado do servidor se tornar de conhecimento público, outras proteções impedem que um invasor se faça passar por qualquer usuário no site. Em um aplicativo Devise padrão, um invasor precisa conhecer o salt da senha do usuário alvo para criptografar e assinar um cookie de sessão válido. No entanto, com o devise masquerade, um invasor pode decidir a qual usuário a ação “back” irá retornar sem conhecer o salt da senha desse usuário, simplesmente sabendo o ID do usuário e manipulando o cookie de sessão.Recomendações:
Para versões da gem devise masquerade anteriores à 1.3, atualize para a versão 1.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao valor
secret key base e limitar o uso do recurso masquerade para minimizar o risco de exploração. Evite enviar valores confidenciais como secret key base para repositórios públicos.Exploit
Correção
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Devise Masquerade